Windows Embedded Standard 7

Transkript

1 Windows Embedded Standard 7 IGEL Technology GmbH Windows Embedded Standard

2 Wichtige Informationen Beachten Sie einige wichtige Informationen, bevor Sie dieses Handbuch lesen. Copyright Dieses Dokument ist nach internationalem Urheberrechtsschutzgesetz geschützt. Alle Rechte vorbehalten. Kein Teil dieses Handbuchs einschließlich der hierin beschriebenen Produkte und Software-Programme darf ohne die ausdrückliche schriftliche Genehmigung der IGEL Technology GmbH in irgendeiner Form oder Art und Weise reproduziert, manipuliert, abgeschrieben, in einem Datenabfragesystem gespeichert oder übersetzt werden; mit Ausnahme zu Sicherungszwecken durch den Käufer. Copyright 2015 IGEL Technology GmbH. Alle Rechte vorbehalten. Warenzeichen IGEL ist ein eingetragenes Markenzeichen der IGEL Technology GmbH. Alle anderen in diesem Handbuch genannten Namen oder Produkte können eingetragene Warenzeichen der entsprechenden Unternehmen oder durch diese urheberrechtlich geschützt sein und werden nur zur Erklärung oder Kennzeichnung und zum Vorteil des Eigentümers angegeben. Haftungsausschluss Die in diesem Handbuch enthaltenen Spezifikationen und Informationen dienen lediglich der Information, unterliegen zu jedem Zeitpunkt dem Recht auf Änderung ohne Ankündigung und stellen keine Verpflichtung der IGEL Technology GmbH dar. Die IGEL Technology GmbH übernimmt keine Verantwortung oder Haftung für eventuell in diesem Handbuch enthaltene Fehler oder Ungenauigkeiten; einschließlich in Bezug auf die hierin beschriebenen Produkte und Software-Programme. Die IGEL Technology GmbH übernimmt keine Gewährleistungen oder Garantien bezüglich des Inhalts dieses Dokuments und schließt insbesondere jede implizierte Garantie bezüglich der Marktgängigkeit und der Eignung für einen bestimmten Zweck aus. IGEL Support und Knowledge Base Wenn Sie bereits IGEL-Kunde sind, wenden Sie sich bitte zunächst an den für Sie zuständigen Vertriebspartner. Er beantwortet gerne Ihre Fragen rund um alle IGEL-Produkte. Wenn Sie zur Zeit IGEL Produkte testen, oder falls Sie von Ihrem Vertriebspartner die gewünschte Hilfe nicht bekommen können, verwenden Sie bitte das IGEL Support Formular auf der Seite Wir werden Sie umgehend unterstützen. Sie erleichtern die Arbeit unserer Support-Mitarbeiter, wenn Sie uns möglichst alle verfügbaren Informationen zukommen lassen. Bitte beachten Sie hierzu auch unsere Hinweise zu Support- und Serviceauskünften Besuchen Sie die IGEL Knowledge Base Dort finden Sie neben den Benutzerhandbüchern auch ergänzende Dokumentation in Form von Best Practice oder How-to sowie die IGEL Support-FAQ ( 2

3 Inhaltsverzeichnis 1. IGEL Universal Desktop Firmware Schnellinstallation Startoptionen IGEL-Geräteinformation IGEL Setup Setupbereiche Setupseiten suchen Sitzungen Citrix ICA Remote Desktop Protocol - RDP VMware Horizon Client vworkspace Client und AppPortal Leostream Connection Broker Nomachine NX PowerTerm WebConnect PowerTerm Terminal Emulation Microsoft Internet Explorer - Browser Session Windows Media Player Voice over IP (VoIP) Client Zubehör Setupsitzung Soundsteuerung Windows Services Benutzeroberfläche Bildschirm Sprache Desktop und Startmenü Eingabe Netzwerk LAN und WLAN (Wireless) VPN-Verbindung Routing Netzlaufwerke Geräte Thin Print USB-Geräte Sicherheit Passwort Active Directory... 34

4 11.3. Netzwerk Windows Firewall System Datum und Zeit Update Fernadministration Spiegeln Dateibasierender Schreibfilter Energieoptionen Firmwareanpassungen Registry Systemwiederherstellung Index... 48

5 Über dieses Dokument Alle Abbildungen und Beschreibungen dieses Dokuments beziehen sich auf die IGEL Universal Desktop W7 Firmware in Version Dieses Handbuch ist in die folgenden Kapitel unterteilt: Schnellinstallation (Seite 7) Startoptionen (Seite 8) IGEL-Geräteinformation (Seite 8) IGEL Setup (Seite 9) Sitzungen (Seite 12) Benutzeroberfläche (Seite 28) Netzwerk (Seite 31) Geräte (Seite 33) Sicherheit (Seite 34) System (Seite 36) die erste Einrichtung des Thin Clients Informationen zum Startprozess des Clients Geräte- und Setupinformationen Setup einrichten, starten, beenden Anwendungssitzungen erstellen und konfigurieren Bildschirm, Desktop, Startmenü, Sprache, Eingabe LAN/WLAN, VPN, Routing. Netzlaufwerke Thin Print, USB Benutzerkonten, Passwort, Active Directory, Password Manager Agent Datum/Uhrzeit, Remote Management, Spiegeln, Energieoptionen, Registry, Schreibfilter, Update, Firmwarefunktionen Was ist neu in ? Die Release Notes der IGEL Universal Desktop W finden Sie sowohl als Textdatei neben den Installationsprogrammen auf unserem Downloadserver ( als auch innerhalb unserer Knowledge Base ( Der auf Version 4.2 aktualisierte Citrix Receiver stellt Startmöglichkeiten (Seite 16) für Sitzungen im Startmenü und auf dem Desktop zur Verfügung. Der RDP-Client (Seite 16) unterstützt nun Protokollversion 8.1. Außerdem enthält das System nun Microsoft Internet Explorer 11 (Seite 22). Diese Version erlaubt es daneben Kunden, die Windows Embedded Standard etwa mit Microsoft SCCM statt per IGEL UMS verwalten möchten, das IGEL-System zu deinstallieren. Näheres erklärt ein Best-Practice-Dokument. Beachten Sie bitte die Hinweise zur Lizenzierung von Windows Embedded Standard ( insbesondere beim Einsatz von Microsoft Office

6 1. IGEL Universal Desktop Firmware IGEL Thin Clients setzen sich aus aktueller Hardware und einem Embedded-Betriebssystem zusammen, das je nach Produkt auf IGEL Linux oder Microsoft Windows Embedded Standard basiert. Wir tun unser Bestes, um eine hochwertige Gesamtlösung zu liefern und versprechen Service und Support von gleicher Qualität. Die Firmware jedes IGEL Universal Desktop-Produkts ist multifunktional und enthält eine große Sammlung an Protokollen für den Zugang zu serverbasierten Diensten. Die IGEL Universal Desktop-Firmware gibt es basierend auf zwei möglichen Betriebssystemen mit folgenden Optionen: Betriebssystem Windows Embedded Standard 7 IGEL Linux Optionen Ericom Powerterm Terminalemulation IGEL Shared Workplace IGEL Universal MultiDisplay (Nur LX) Codec-Paket (Nur LX) Die Struktur des IGEL Setup ist nahezu identisch auf allen Thin Clients und in der Verwaltungssoftware Universal Management Suite (UMS). Konfigurationsparameter können also im lokalen Setup des Geräts an der gleichen Stelle der Baumstruktur gefunden werden wie z. B. in einem Profil der Verwaltungssoftware. Die IGEL Universal Management Suite steht für jeden Kunden auf der IGEL Downloadseite zur Verfügung und erlaubt die Verwaltung einer unbegrenzten Anzahl an IGEL Thin Clients. 6

7 2. Schnellinstallation So können Sie das Endgerät innerhalb weniger Minuten in Ihrer Netzwerkumgebung installieren: 1. Verbinden Sie das Endgerät mit einem VGA- oder DVI-Monitor, einer AT-kompatiblen Tastatur mit PS/2- oder USB-Anschluss, einer USB-Maus und über eine RJ45-Steckverbindung mit dem LAN. 2. Schließen Sie das Endgerät an die Stromversorgung an. 3. Starten Sie das Endgerät und warten Sie, bis der grafische Desktop gestartet wird. Sie sind jetzt als Benutzer mit dem Namen user (Passwort ist user) angemeldet. So melden Sie sich als Administrator an: 1. Wählen Sie Start Log Off (Start Abmelden) -bei W7 mit gedrückter Shift-Taste- 2. Halten Sie die Umschalt-Taste gedrückt, und klicken Sie auf Log Off (Abmelden). 3. Halten Sie die Umschalt-Taste gedrückt, bis das Anmeldefenster angezeigt wird. 4. Melden Sie sich als Benutzer administrator mit dem Passwort administrator an. Ändern Sie das Administratorkennwort direkt nach dem ersten Start! In der Windows-Taskleiste wird ein gelbes IGEL-Symbol angezeigt: Abbildung 1: IGEL-Symbol in der Taskleiste Hier können Sie grundlegende Systemeinstellungen vornehmen: Klicken Sie das IGEL-Symbol mit der rechten Maustaste. Ein Pop-up-Menü öffnet sich. Ändern Sie die - Netzwerkeinstellungen - Anzeigeeinstellungen - Tastatureinstellungen Klicken Sie OK, um die Änderungen zu speichern. Das Gerät wird neu gestartet und verwendet anschließend die neuen Einstellungen. Diese Grundeinstellungen können Sie auch in der IGEL-Setup-Anwendung konfigurieren. Für nahezu jede Einstellung ist eine nützliche Kurzinformation (Tooltip) verfügbar. Wenn Sie mehr über eine Einstellung oder eine Option erfahren möchten, positionieren Sie ganz einfach den Mauszeiger darauf und warten einen kurzen Moment. 7

8 3. Startoptionen So wählen Sie die gewünschten Bootoptionen aus: Warten Sie, bis im Bootprozess die Meldung Booting, please wait angezeigt wird. Drücken Sie die Esc-Taste. Ein Auswahlmenü öffnet sich. 3. Wählen Sie eine der drei Bootoptionen: Windows Embedded Standard Download Firmware Image Der normale Systemstart wird ausgeführt. Das Firmware-Download-Menü wird angezeigt. Um eine Snapshot-Datei von Ihrem Server bzw. einem angeschlossenen USB-Stick herunterzuladen, müssen die erforderlichen Verbindungsdaten angegeben werden. Start Rescue Shell Hier greifen Sie auf das unterliegende Linux-System zu, z. B. um das System wiederherzustellen oder die IGEL-Setupdaten zurückzusetzen. 4. IGEL-Geräteinformation In der IGEL-Geräteinformation erhalten Sie einen schnellen Überblick über die grundlegenden Eigenschaften Ihres Geräts. Doppelklicken Sie das gelbe IGEL-Symbol in der Windows-Taskleiste, um zur Geräteinformation zu gelangen. Abbildung 2: IGEL-Geräteinformation 8

9 Informationen Lizenzen Hotfixes Über Netzwerkinfo Es werden Details zum Produkt, der Firmwareversion, IP-Adresse und einigen Hardwaredaten wie etwa CPU und RAM angezeigt. Alle in der Firmware enthaltenen Softwarelizenzen wie z. B. die GNU General Public License werden angezeigt. Über Weiter und Zurück können die einzelnen Lizenzen aufgerufen werden. Zeigt alle Microsoft Windows-Systempatches wie z. B. Sicherheitsupdates an. Bietet einen detaillierteren Überblick über Ihre Thin Client-Hardware und -Software. Hier werden insbesondere die in der Firmware enthaltenen lizenzierten Funktionen angezeigt. Zeigt verschiedene Informationen zum aktuellen Netzwerk sowie zur Verfügbarkeit eines UMS-Servers an. 5. IGEL Setup Sie haben mehrere Möglichkeiten, den IGEL-Thin Client entsprechend Ihren Anforderungen einzurichten: über die Systemverwaltung des Windows Embedded Systems mit dem lokalen IGEL-Setup mit der IGEL Universal Management Suite über eine VNC-Verbindung zum Gerät (Spiegeln) und/oder durch Kombinationen der genannten Möglichkeiten. Wir gehen davon aus, dass die Windows-Systemverwaltung bekannt ist und behandeln sie in diesem Handbuch nicht. Hierfür gibt es eine eigene Dokumentation von Microsoft. Zudem raten wir davon ab, den Thin Client über die Windows-Systemverwaltung zu konfigurieren, weil die Einstellungen weder in einem Profil gesichert werden können noch beim Update mit Snapshot erhalten bleiben. Wenn Sie als Administrator angemeldet sind, können Sie die IGEL-Setupanwendung aus dem Windows-Startmenü heraus öffnen. Die Setupstruktur ist vergleichbar mit der auf den IGEL Linux-Thin Clients und in der IGEL Universal Management Suite (IGEL UMS). Zum Start der Setupanwendung kann ein Icon auf dem Desktop abgelegt werden. Standardmäßig ist das Setup für user gesperrt. Dem eingeschränkten Benutzer können jedoch Teile aus dem Setup verfügbar gemacht werden, damit dieser z. B. das Tastaturlayout oder die Systemsprache selbst wählen kann. So starten Sie das Setup (nach der Anmeldung als Administrator oder wenn Setupseiten für den Benutzer freigegeben sind): Klicken Sie das Symbol Setup in der Startleiste oder Klicken Sie die Anwendung Setup im Startmenü oder Legen Sie ein Symbol für das Setup auf dem Desktop ab (Setup > Zubehör > Setupsitzung > Startmöglichkeiten). So beenden Sie das Setup: Klicken Sie Übernehmen, um die vorgenommenen Änderungen zu speichern. Klicken sie OK, um die Änderungen zu speichern und die Anwendung zu schließen. Klicken Sie Abbrechen, um die Anwendung ohne Sicherung der Eingaben zu schließen. 9

10 5.1. Setupbereiche Die Setupanwendung enthält die folgenden Hauptbereiche: Sitzungen Zubehör Benutzeroberfläche In diesem Bereich können Anwendungssitzungen wie ICA, RDP, Terminal Emulation, Browser und andere erstellt und konfiguriert werden. Die IGEL-Setupanwendung kann für Benutzer (nicht den Administrator) eingeschränkt werden. Einige Windows-Dienste können aktiviert oder deaktiviert werden. Hier lassen sich Systemsprache, Anzeigeeinstellungen, Eingabegeräte und das Verhalten von Desktop und Startmenü konfigurieren. Diese Einstellungen gelten jeweils für alle Benutzer einer Gruppe (user / administrator). Netzwerk In diesem Bereich können alle Netzwerkeinstellungen für LAN- / WLAN-Schnittstellen vorgenommen werden, auch Netzwerklaufwerke werden hier konfiguriert. Geräte Die Verwendungsmöglichkeit verschiedener USB-Geräte (wie z. B. Speichersticks, WLAN- oder Bluetooth-Geräte) sowie Drucker werden hier aktiviert bzw. konfiguriert. Sicherheit System Hier werden Passwörter für den Administrator und den Benutzer eingerichtet, ein Benutzer für das automatische Anmeldeverfahren bestimmt und Domäneninformationen für ein verwendetes Active Directory eingegeben. Auch die Windows-eigene Firewall lässt sich hier über das IGEL-Setup konfigurieren. Einige grundlegende Parameter wie Zeitsynchronisation, Updateinformationen der Firmware,Schreibfilterkonfiguration (File Based Write Filter, FBWF) etc. können hier festgelegt werden. Auch einzelne IGEL-Dienste (Features) lassen sich hier verwalten (aktivieren / deaktivieren). Klicken Sie auf einen dieser Bereiche, um die jeweilige Unterstruktur zu öffnen. Navigieren Sie in der Baumstruktur, um zwischen den Setupoptionen zu wechseln. Nutzen Sie die Pfeilschaltflächen, um zwischen den besuchten Setupseiten hin- und herzublättern oder um auf die nächsthöhere Ebene zu gelangen. Abbildung 3: Pfeilschaltflächen 10

11 5.2. Setupseiten suchen So suchen Sie über die Suchfunktion Parameterfelder oder -werte im Setup: 1. Öffnen Sie den Bereich Suche im linken Fenster. 2. Geben Sie die Suchparameter ein. 3. Wählen Sie einen der Treffer aus. 4. Klicken Sie auf Ergebnis zeigen, um auf die zugehörige Setupseite zu gelangen. Der gefundene Parameter oder Wert wird wie unten dargestellt hervorgehoben. Abbildung 4: Suchergebnis 11

12 6. Sitzungen Die Sitzungstypen, die Ihnen für die Konfiguration zur Verfügung stehen, hängen von der Lizenz Ihres IGEL-Thin Clients ab. Eine Übersicht der Funktionalität jeder Lizenzstufe finden Sie in der Produktliste auf der IGEL-Webseite Der Bereich Sitzungsübersicht im IGEL-Setup listet alle bereits konfigurierten Sitzungen auf. So erfassen Sie eine neue Sitzung: Klicken Sie Hinzufügen. oder Navigieren Sie im Strukturbaum zum gewünschten Sitzungstyp und legen Sie dort eine neue Sitzung an. Jede Sitzungskonfiguration enthält den Punkt Desktopintegration. Hier können Sie den Sitzungsnamen, das Erscheinen der Sitzung im Startmenü oder auf dem Desktop und das Startverhalten (Automatisch / Manuell) definieren Citrix ICA Globale Einstellungen Die globalen Einstellungen definieren Standardparameter, welche in allen Sitzungen verwendet oder in der jeweiligen Sitzungskonfiguration überschrieben werden können. Weitere Informationen zu den einzelnen Parametern finden Sie in der originalen Dokumentation von Citrix: 12

13 Serverstandort (Masterbrowser) Fenstereinstellungen Tastatur Firewall Alternative Adresse verwenden Optionen USB Redirection HDX Definieren des HTTP-Masterbrowsers für die ICA-Verbindungen Definieren der Standardfenstergröße und -farbtiefe Ändern der Tastaturbelegung - Hotkeys des Serversystems können auf Funktionstasten oder Tastenkombinationen der lokalen Tastatur gelegt werden. Konfigurieren der ICA-Verbindungen, die eine Firewall, einen SOCKS-Proxyserver oder ein Citrix- Secure Gateway (im Relay-Modus)durchlaufen. Diese Option sollte aktiv sein, wenn Sie ICA-Sitzungen nutzen, um eine Verbindung zu einem bestimmten Citrix-Server hinter einer Firewall herzustellen. Der Citrix-Server hat in der Regel innerhalb des lokalen Netzwerks eine andere IP-Adresse als nach außen. (Informationen zur Serverkonfiguration finden Sie, wenn Sie in Ihrem Citrix-Administrationshandbuch nach dem Befehl altaddr suchen.) Nach der Aktivierung der Alternativadresse muss der Server unter Serverstandort zur Adressliste hinzugefügt werden. Setzen von global wirksamen Optionen, wie z. B. die automatische Wiederverbindung oder die Größe des Zwischenspeichers Erstellen von Regeln für die Verwendung lokaler USB-Geräte in der XenDesktop-Sitzung. Je nach Geräteklasse bzw. -unterklasse kann die Verwendung in der Sitzung erlaubt oder verweigert werden. Kombinationen von Regeln sind auch möglich. Geht es um genau spezifizierte Geräte, kann eine Regel auch anhand der Herstellerund Produkt-ID erstellt werden. In diesem Fall ist keine Klassifizierung notwendig. Aktivieren von Flash-Umleitung, Dateizugriff, Mikrofon- und Webcamzugriff sowie Zugriff auf USB und sonstige Geräte ICA-Sitzungen Viele der Sitzungsparameter können durch die globalen Einstellungen vorbelegt werden. Einige sind jedoch ausschließlich in der Sitzungskonfiguration zu belegen, wie z. B. Anmeldedaten oder die Desktopintegration. 13

14 Verbindungen Anmeldung Fenstereinstellungen Firewall Wiederverbindung Festlegen des Citrix-Servers oder der Published Application (Veröffentlichte Anwendung, womit die Verbindung hergestellt werden soll) - Bestimmen des Browserprotokolls für das Anwendungsbrowsing Festlegen der Benutzeranmeldeinformationen für die Serveranmeldung - Alternativ lässt man den Benutzer die Anmeldedaten eingeben, wenn die Verbindung zur Sitzung hergestellt wird. Festlegen der Fenstergröße und -farbtiefe für die Sitzung - Für veröffentlichte Anwendungen kann der Seamless-Window-Modus aktiviert werden. Konfigurieren der ICA-Verbindungen, die eine Firewall, einen SOCKS-Proxyserver oder ein Citrix- Secure Gateway (im Relay-Modus)durchlaufen. Aktivieren des automatischen Wiederverbindens mit der Sitzung und Begrenzen der Zahl der Versuche. 14

15 Optionen Optimieren von Leistung und Verhalten: Komprimierung Zwischenspeicherung von Bilddaten Verschlüsselungsmethode Audioübertragung Speedscreen Latenzreduktion Mausklick Feedback Lokales Textecho Durch die Datenkomprimierung wird die Menge der Daten verringern, die über die ICA-Sitzung übertragen werden. Dadurch reduziert sich der Netzwerkverkehr zu Lasten der CPU-Leistung. Die Komprimierung sollte beim Verbinden des Servers per WAN genutzt werden. Bei leistungsschwächeren Servern und beim Arbeiten in einem LAN ist keine Komprimierung nötig. Aktivieren der Zwischenspeicherung im Cachespeicher (konfiguriert in den globalen ICA-Einstellungen) Dies ist sinnvoll bei der Nutzung mehrerer ICA-Sitzungen, wenn nur eine oder zwei Sitzungen kritisch im Hinblick auf die Netzwerkbandbreite sind oder während des Tages stark genutzt werden. In diesem Fall sollte der Cachespeicher für diese Sitzungen reserviert sein. Durch die Verschlüsselung wird die Sicherheit Ihrer ICA-Verbindung erhöht. Standardmäßig ist die Basisverschlüsselung aktiviert. Vergewissern Sie sich deshalb, dass der Citrix-Server die RC5-Verschlüsselung unterstützt, bevor Sie einen höheren Verschlüsselungsgrad wählen. Ist diese Option aktiviert, werden Systemtöne und Audioausgaben von Ihren Anwendungen auf den Thin Client übertragen und über die angeschlossenen Lautsprecher gesendet. Je höher die von Ihnen gewählte Audioqualität ist, umso mehr Bandbreite wird für die Übertragung der Audiodaten benötigt. Verbesserung der Leistung von Verbindungen mit hoher Latenz durch die sofortige Reaktion für den Client auf Tastatureingaben oder Mausklicks Das fördert beim Benutzer das Gefühl, einen normalen PC zu nutzen. Visuelle Rückmeldung auf einen Mausklick - wobei umgehend ein Sanduhrsymbol erscheint Schnellere Anzeige des Eingabetextes Dadurch werden Latenzen im Netzwerk vermieden. Wählen Sie einen Modus aus der Drop-down-Liste aus: Ein - Für langsamere Verbindungen (Verbindung über ein WAN), um die Verzögerung zwischen Benutzereingabe und Anzeige auf dem Bildschirm zu verringern. Aus - für schnellere Verbindungen (Verbindung über ein LAN) Automatisch - Wenn Sie nicht sicher sind, wie schnell die Verbindung ist. Desktopintegration Einrichten der Startmöglichkeiten per Desktop oder Startmenü beziehungsweise Autostart. 15

16 Speedscreen funktioniert nur, wenn die Funktion zuvor auf dem Citrix-Server aktiviert und konfiguriert wurde Self-Service-Plug-In Hier haben Sie die Möglichkeit, unter Verbindungen Sitzungen für Citrix XenApp 6.x oder älter Citrix XenApp/XenDesktop 7.x Store Citrix XenApp/XenDesktop 7.x Legacy Mode einzurichten. Geben Sie unter Anmeldung Optionen für die Authentisierung an, unter Erscheinungsbild für Menüs, sowie unter Desktopintegration für Verknüpfungen auf dem Desktop und im Startmenü. 16

17 6.2. Remote Desktop Protocol - RDP Für Verbindungen per Remote Desktop Protocol (RDP) wird der Microsoft RDP-Client verwendet. Die Konfiguration des Clients wurde in das IGEL-Setup portiert. Detaillierte Informationen zu Microsoft RDP erhalten Sie auf der Webseite RDP Global Einige Einstellungen, die in RDP-Sitzungen wirksam sind, lassen sich global vorbelegen und können standardmäßig in neu angelegten Sitzungen verwendet oder in der Sitzungskonfiguration überschrieben werden. Ausnahme: Tastaturparameter Zwischenablage und Hotkeys. Diese sind nur global für alle Sitzungen einstellbar RDP-Sitzungen Die folgenden Konfigurationsseiten bieten Ihnen detaillierte Einrichtungsmöglichkeiten für die Sitzung: Verbindungen Anmeldung Fenstereinstellungen Performance Zuweisung Optionen Desktopintegration Angeben eines Servers und einer Startanwendung für die Terminalserversitzung. Die erforderlichen Anmeldeinformationen werden hier konfiguriert. Anderenfalls wird das Terminalserver-Anmeldefenster für die Eingabe des Benutzers und des Passworts angezeigt. Festlegen der Größe des Sitzungsfensters und des Farbmodus - Die lokale Taskleiste kann so konfiguriert werden, dass sie in einer Vollbildsitzung sichtbar bleibt. Deaktivieren grafischer Funktionen die nicht unbedingt erforderlich sind, wie etwa Oberflächenstile, Fensteranimation usw. - Hilfreich bei Leistungsproblemen Festlegen des Audioausgabegerät (lokal/remote), und bestimmen wie Tastaturanschläge und Zwischenspeicherinhalte gehandhabt werden. Das Mapping (Zuweisung) serieller Anschlüsse und lokaler Laufwerke lässt sich zu einer Sitzung aktivieren. Machen Sie angeschlossene Massenspeichergeräte für den Benutzer verfügbar, indem Sie sie zuweisen: Aktivieren Sie enable, wählen Sie den Laufwerksbuchstaben und das zuzuweisende Gerät. Festlegen der Startanwendung und des Arbeitsverzeichnisses für die Nutzung während der Sitzung - wie während der Anmeldung mit Authentifizierungsfehlern umgegangen wird. Wenn beim Verbinden mit dem Server ein Terminalserver-Gateway verwendet werden soll, kann man hier die zugehörigen Einstellungen vornehmen (voreingestellt ist No Gateway (Kein Gateway)). Einrichten der Startmöglichkeiten per Desktop oder Startmenü beziehungsweise Autostart. 17

18 6.3. VMware Horizon Client So erstellen Sie eine neue Horizon-Client-Sitzung: 1. Klicken Sie im Menü Sitzung auf Hinzufügen. Die Seite Verbindungseinstellungen wird angezeigt. 2. Wählen Sie die erforderlichen Serverdaten und erweiterte Optionen wie z. B. Kioskmodus. 3. Konfigurieren Sie die Anzeigeeinstellungen (Fenstergröße) und die Einbindung lokaler USB-Geräte (Mapping). Abbildung 5: Verbindungseinstellungen Eine detaillierte Beschreibung der Client-Parameter finden Sie in der Originaldokumentation für Horizon unter Hinweis zur Verwendung von ThinPrint innerhalb der Horizon-Sitzung (Seite 33) 6.4. vworkspace Client und AppPortal Der Quest vworkspace Client setzt auf Hypervisoren anderer Anbieter auf und ist somit mit VMware vsphere, Microsoft Hyper-V und XenServer kompatibel. Alle Konfigurationsparameter zum vworkspace-client und zur vworkspace AppPortal-Farm sind detailliert in der Originaldokumentation der jeweiligen Clientversion beschrieben. Siehe dazu 18

19 Im IGEL-Setup können für jede Farm die Parametereinstellungen vorgenommen werden. Alternativ wird dort eine Konfigurationsdatei (XML) angegeben, die an anderer Stelle hinterlegt ist. Eine direkte Konfiguration des Clients außerhalb des IGEL-Setups ist nicht möglich. Abbildung 6: Konfiguration im IGEL-Setup 6.5. Leostream Connection Broker Geben Sie Server, Benutzer und Domäne für die Anmeldung mit Leostream Connection Broker an und tragen Sie den Desktop ein, den Sie verbinden möchten. Falls Sie keinen Desktop angeben, erhalten Sie bei der Anmeldung eine Liste mit den verfügbaren Desktops. In der Verwaltung des Leostream Connection Brokers müssen Sie den Verbindungsplan so anpassen, dass RDP für die Verbindung priorisiert verwendet wird. Die drei Protokolle RDP, rdesktop und Ericom Blaze nutzen den selben Port 3389, daher muss die Priorität für RDP höher sein als die der anderen beiden Protokolle. 19

20 Dieser Screenshot zeigt die Verwendung von rdesktop bevorzugt gegenüber RDP, z. B. für die Verbindung mit IGEL UD Linux-Thin Clients. Abbildung 7: Leostream Protocol Mehr Information zum Leostream Connection Broker finden Sie direkt bei Leostream unter: 20

21 6.6. Nomachine NX Die zur Verfügung stehenden Konfigurationsparameter sind abhängig von der Servereinstellung. Je nachdem, welche Sitzungsart (Unix, Windows, VNC oder Shadow) verwendet wird, werden die nicht relevanten Setupseiten ausgegraut. Abbildung 8: Nomachine NX - Konfigurationsparameter Weitere Informationen zu Konfigurationsdetails wie Servereinstellungen, Leistung, Dienste etc. finden Sie in der Originaldokumentation von Nomachine unter PowerTerm WebConnect Mit PowerTerm WebConnect haben Sie sowohl lokalen Zugriff wie auch Fernzugriff auf Anwendungen auf Windows-Terminalservern, virtuellen Desktops, auf Hypervisoren wie VMware, Microsoft, Xen und Virtual Iron, Blade-PCs und Legacy Hosts. Geben Sie den Hostnamen des WebConnect-Servers ein, zu dem Sie eine Verbindung herstellen möchten. 21

22 Die Serverkonfiguration wird in der WebConnect-Dokumentation von Ericom beschrieben: PowerTerm Terminal Emulation Auf den IGEL-Thin Clients mit Windows Embedded Standard wird für die Interaktion mit Legacy Host-Systemen die Software PowerTerm InterConnect von ERICOM Software Ltd. verwendet. So öffnen Sie das Power Term Emulation-Setup: Klicken Sie Neue Sitzung hinzufügen. Wählen Sie Sitzungstyp PowerTerm. Das Fenster PowerTerm Emulation-Setup öffnet sich: Abbildung 9: PowerTerm Emulation-Setup Dieses Setup bietet einen guten Überblick über die unterstützten Emulationstypen. Das Aussehen der hier verwendeten Setupseiten wurde so weit wie möglich dem Aussehen der in der Originaldokumentation von ERICOM Software Ltd. beschriebenen Setupseiten angeglichen. Detaillierte Informationen zur Konfiguration der PowerTerm-Software finden Sie auf der Ericom-Dokumentationswebseite 22

23 6.9. Microsoft Internet Explorer - Browser Session Sie können unter Browser Sitzungen den Microsoft Internet Explorer im IGEL-Setup konfigurieren. Deaktivieren Sie die IGEL-Einstellungen für den MSIE, um die Originaleinstellungen (im IE-Menü) zu aktivieren. Die folgenden Setupseiten stehen zur Verfügung: Global Sicherheit Erweitert Start Fenstereinstellungen Proxy Leistenelemente Einrichten der globalen Browserdaten wie Startseite oder Downloadverzeichnis usw. Zulassen von SSL/TLS-verschlüsselten Verbindungen zulassen und Warnung bei Zonenwechsel aktivieren Festlegen, wie mit in Websites eingebetteten Bildern und Tönen umgegangen werden soll. Festlegen, von wo aus auf die Browseranwendung zugegriffen werden kann Einstellen von Vollbild- oder Theatermodus Konfigurieren von Proxyeinstellungen (De)aktivieren von verschiedenen Menüparametern wie Druckdialog oder die Schaltfläche Close Symbolleisten Konfigurieren von Symbolleisten, die in der Browseranwendung angezeigt werden. Im IGEL-Setup für die Browsersitzung können Sie die meisten Internet Explorer-Einstellungen konfigurieren, um diese Konfiguration über IGEL UMS auf weitere IGEL-Thin Clients zu verteilen. 23

24 6.10. Windows Media Player Unter Windows Media Player finden Sie Parameter für die Steuerung des WIndows Media Players (Version 12). Hilfe zur Verwendung des aktuellen Media Players finden Sie bei Microsoft:unt Abbildung 10: Playersteuerung im IGEL-Setup Voice over IP (VoIP) Client Im Abschnitt VoIP-Client konfigurieren Sie den Client für IP-Telefonie. IGEL Universal Desktop stellt den VoIP-Client Ekiga ( zur Verfügung. Der Client erlaubt die Nutzung von SIP ebenso wie H.323. Neben lokalen Kontakten können auch LDAP-Adressbücher verwendet werden. Eine detaillierte Beschreibung der Konfigurationsoptionen finden Sie in der Originaldokumentation des Ekiga-Clients unter 24

25 Abbildung 11: Konfiguration für IP-Telefonie 25

26 7. Zubehör 7.1. Setupsitzung Wenn für den Administrator ein Kennwort eingerichtet wurde, lässt sich das IGEL Setup nur noch als Administrator nach Eingabe des Kennworts öffnen (siehe Passwort). Einzelne Bereiche des Setups lassen sich aber auch für den Benutzer freischalten, z. B. damit dieser die Systemsprache ändern oder eine Linkshändermaus konfigurieren kann. 1. Aktivieren Sie unter Sicherheit Passwort das Passwort für den Administrator und den Setupbenutzer. Sollen Benutzer Teile des Setups auch ohne Passwort bearbeiten dürfen, legen Sie eine Quicksetup Sitzung an, das Passwort für den Setupbenutzer wird in diesem Fall nicht aktiviert. 2. Schalten Sie unter Zubehör Setupsitzung Seitenberechtigungen diejenigen Bereiche frei, auf welche der Benutzer Zugriff haben soll. - Eine aktivierte Checkbox zeigt an, dass der Knoten im Setup sichtbar ist. - Ein grünes Symbol (offenes Schloss) zeigt an, dass der Benutzer die Parameter auf dieser Setupseite bearbeiten kann Abbildung 12: Eingeschränkter Zugriff auf das Setup Aktivieren Sie eine Setupseite auf den unteren Ebenen, so werden die für den Zugang notwendigen Knotenpunkte automatisch als sichtbar (aber für die Bearbeitung gesperrt) markiert Soundsteuerung Hier lässt sich die Systemlautstärke einstellen oder der Ton ausschalten. 26

27 7.3. Windows Services Hier lassen sich Windows-Dienste starten oder deaktivieren. Dazu gehört auch die USB Redirection. Abbildung 13: Windows Services 27

28 8. Benutzeroberfläche 8.1. Bildschirm Die grundlegenden und erweiterten Bildschirmeinstellungen nehmen Sie standardmäßig im IGEL-Setup vor oder über die Windows-Systemoptionen. Abbildung 14: Bildschirmeinstellungen So konfigurieren Sie Multiscreen-Umgebungen im IGEL-Setup: Erhöhen Sie den Parameter Anzahl der Bildschirme. Wählen Sie die zugehörigen Auflösungen. Geben Sie die Position der Bildschirme zueinander an. Die von den jeweiligen IGEL-Modellen unterstützten maximalen Auflösungen entnehmen Sie bitte dem jeweiligen Datenblatt des Geräts. 28

29 W7 Für die Rotation (Pivot) müssen im BIOS des Clients mindestens 128 MB als Videospeicher konfiguriert sein (Default sind 64 MB). Im BIOS finden Sie die Einstellung unter Integrated Peripherals VGA Shared Memory Size. Sobald eine Bildschirmdrehung konfiguriert wird und weniger als 128 MB Videospeicher eingestellt sind, erscheint eine entsprechende Meldung: Abbildung 15: Warnhinweis bei zu wenig Videospeicher 8.2. Sprache Wählen Sie die Setupsprache und die Tastaturbelegung aus, und konfigurieren Sie Ihre lokalen Einstellungen (Format für Uhrzeit, Zahlen usw.). Für UD-W7-Systeme stehen auf Sprachpakete als partielle Updates bereit, um auch die Systemsprache anpassen zu können. Warnung: Die Installation von Sprachpaketen für UD-W7 kann bis zu 45 Minuten dauern! Brechen Sie den Vorgang nicht vorzeitig ab, ein inkonsistentes System kann sonst die Folge sein! 8.3. Desktop und Startmenü Folgende Optionen stehen zur Verfügung: Papierkorb anzeigen Taskleiste fixieren Standardmäßig ist der Papierkorb ausgeblendet. Die Taskleiste lässt sich an der aktuellen Position fixieren. Computer sperren verhindern Deaktiviert die Sperrmöglichkeit des Desktops über Win+L oder Strg+Alt+Entf. W7 Aktiviert Aero Glass-Effekte (Transparente Fenster, Miniaturansicht). Benachrichtigungssymbole in der Taskleiste immer anzeigen Startmenü alphabetisch anordnen Hier lassen sich alle Einträge im Startmenü in alphabetischer Reihenfolge bringen. 29

30 8.4. Eingabe Im Bereich Eingabe können Sie Tastatur- und Mausspezifikationen wie etwa die Tastaturbelegung, den Linkshändermodus für die Maus oder Doppelklickeinstellungen festlegen. Diese Einstellungen heben die Windows-Systemeinstellungen auf. 30

31 9. Netzwerk Konfigurieren Sie die Netzwerkparameter für jede verfügbare Schnittstelle (LAN / WLAN) und verbinden Sie Netzwerklaufwerke LAN und WLAN (Wireless) Hier finden Sie die Konfigurationsparameter für die verfügbaren Schnittstellen (LAN integriert, LAN über PCI Karte und WLAN). Standardmäßig ist die interne LAN-Schnittstelle für DHCP vorkonfiguriert. Abbildung 16: Konfigurationsparameter für Schnittstellen Im Bereich WLANfinden Sie alle Parameter für das drahtlose Netzwerk inklusive der Optionen für die Verschlüsselung der Verbindung. Auch versteckte Netzwerke konfigurieren Sie durch Eingabe von WLAN-Name (SSID). Beachten Sie, dass für die Konfiguration der drahtlosen Verbindung zunächst die Einstellungen des Windows-Systems aktiv sind. Aktivieren Sie die Verwendung des IGEL-Setups für WLAN im Setup VPN-Verbindung Erstellen Sie eine Sitzung zur Verwendung des NCP Secure Enterprise Clients. Die Konfiguration der VPN-Verbindung erfolgt ausschließlich über die GUI des VPN Clients. NCP stellt eine eigene Managementsoftware zur Fernadministration der Clients zur Verfügung. Weitere Informationen zur Konfiguration und Verwendung gibt es direkt bei NCP: 31

32 Beachten Sie, dass der NCP Secure Enterprise Client separat bei NCP lizenziert werden muss, um ihn dauerhaft verwenden zu können Routing Um eine bestimmte Netzwerkroute zu verwenden, definieren Sie auf dieser Seite das Gateway für die Weiterleitung. Die Angabe des Netzwerkinterfaces ist optional, die Route wirkt sich auf alle verwendete Netzwerkgeräte aus Netzlaufwerke Unter Netzlaufwerke bestimmen Sie sowohl die Laufwerke, die beim Start verbunden werden sollen als auch die zugehörigen Anmeldedaten. Für jedes Laufwerk können Sie einen Laufwerksbuchstaben vergeben: Wird kein Buchstabe eingetragen, so muss das Laufwerk später manuell verbunden werden. Wenn im IGEL-Setup die Anmeldedaten für den jeweiligen Server hinterlegt wurden, werden keine Anmeldedaten mehr angefordert. Sollte der vergebene Buchstabe bereits reserviert sein, so wird nur das zuerst verbundene Laufwerk angezeigt, für das zweite wird ein Fehlereintrag im Eventlog erstellt. Abbildung 17: Netzlaufwerke hinzufügen 32

33 10. Geräte Thin Print Der ThinPrint-Client startet automatisch, wenn eine ICA- oder RDP-Sitzung ausgeführt wird. Nachdem der ThinPrint-Client gestartet wurde, können Sie über das ThinPrint-Symbol in der Taskleiste auf das Druckerkonfigurationsmenü zugreifen. Im IGEL-Setup sind keine Konfigurationsparameter vorhanden. Verwenden Sie ThinPrint innerhalb VMware Horizon, so deaktivieren Sie bitte den ThinPrint-Client des Systems im Setup unter Firmwareanpassungen > Features. Der Horizon-Client bringt eine eigene ThinPrint-Implementation mit, welche nur dann korrekt funktioniert, wenn kein weiterer ThinPrint-Client aktiv ist USB-Geräte Abbildung 18: Gerätekonfiguration Auf dieser Setupseite können Sie die Nutzung verschiedener USB-Gerätetypen aktivieren oder deaktivieren. Es werden drei Typen unterschieden. USB-Speichergeräte WLAN-Geräte Bluetooth-Geräte Jeder der Typen kann deaktiviert werden, zusätzlich können USB-Geräte nur lesbar (mit Schreibschutz) verbunden werden. 33

34 11. Sicherheit Passwort Sie können ein Administratorpasswort einrichten, um die IGEL-Setupanwendung zu sichern. Der Zugriff auf das Setup ist dann nur noch mit diesem Passwort möglich. Das Passwort für die Systemanmeldung des Administrators und das Setuppasswort können unterschiedlich sein. Passwortänderungen werden nur gespeichert, wenn Sie auf die Schaltfläche OK oder Übernehmen klicken. Auch für den Benutzer User können Sie ein Passwort vergeben. Wird zusätzlich der Setupbenutzer aktiviert, kann User auch auf freigegebene Setupseiten zugreifen. Diese konfigurieren Sie unter Zubehör Setupsitzung. Automatische Anmeldung Legen Sie einen Benutzer fest, der automatisch beim Systemstart angemeldet wird. Standardmäßig ist der Benutzer user angemeldet. Das Administratorkennwort für die Setupanwendung wird auch bei Aufruf des Bootmenüs abgefragt, wenn Sie ESC beim Start der Rescue Shell oder Firmwareupdate drücken. Es wird dringend empfohlen, gleich nach dem ersten Start das Administratorpasswort zu ändern. Nur der Administrator kann Passwörter ändern Active Directory Auf dieser Seite konfigurieren Sie den Zugriff auf Ihre Active-Directory-Domäne. Fügen Sie die erforderliche Domäne und die Benutzerinformationen für den Zugriff auf die Active-Directory-Domäne hinzu. Abbildung 19: Konfiguration für Active-Directory-Domäne 34

35 Vor der Erstellung eines Snapshots des Systems ist es häufig sinnvoll, die Domäne zuvor zu verlassen. Eine entsprechende Option kann im Menü Snapshot gesetzt werden Netzwerk Hier können Sie administrative Freigaben deaktivieren oder Netzwerk angezeigt werden soll. einstellen, dass der Thin Client nicht im Windows Firewall Hier lassen sich Regeln für die Windows Firewall verwalten. Diese können mit einem Programm oder einem Netzwerkport zusammenhängen. Abbildung 20: Firewallregeln 35

36 12. System In der Unterstruktur können Sie einige grundlegende Systemeinstellungen vornehmen: Datum und Zeit Setzen Sie die korrekte Zeitzone für den Standort Ihres Geräts. Aktivieren Sie ggf. die Zeitsynchronisation und wählen Sie den Zeitserver und das Aktualisierungsintervall Update Es stehen zwei Verfahren für das Systemupdate zur Verfügung: Snapshots zur Aktualisierung des Windows Embedded Systems, einschließlich der IGEL-Firmwarefunktionen Partielles Update zum Hinzufügen neuer Funktionen oder Sprachpakete Snapshots Ein Snapshot ist ein Image der ersten Partition (Volume C:), welches das Windows Embedded Standard-Betriebssystem enthält. Sie können dieses Image entweder für die Systemwiederherstellung oder für die Verteilung auf anderen IGEL Windows Embedded-Geräten verwenden, die mit gleicher Hardware ausgestattet sind. Auch Firmwareupdates von IGEL werden als Snapshot-Datei (.snp) zur Verfügung gestellt. Für das Erstellen und Installieren von Snapshots kann der Webserver der IGEL Universal Management Suite verwendet werden, näheres dazu ist im IGEL UMS-Handbuch beschrieben. Snapshot erstellen So erstellen Sie einen Snapshot des aktuellen Systems: Definieren Sie das Übertragungsprotokoll für den verwendeten Zielserver (HTTP bzw. HTTPS und FTP) oder wählen Sie file, um das Snapshot lokal z. B. auf einem angeschlossenen USB-Speicher zu sichern. Für die Verwendung von file müssen auf dem Speichergerät mindestens 4 GB freier Speicher zur Verfügung stehen. Legen Sie vorher den Pfad \igel\snapshots an. Für die Erzeugung des Snapshots geben Sie nur den Dateinamen an. Sie können ein USB-Speichergerät auch für die Verwendung als Snapshot-Speicher vorbereiten lassen, dabei wird das gewählte Laufwerk formatiert und der o.g. Pfad angelegt. Drücken Sie USB-Gerät vorbereiten. Alle Daten auf dem gewählten Laufwerk werden gelöscht! 36

37 Soll die Snapshot-Datei auf andere Geräte portiert werden, definieren Sie vorher, dass die Domäne, in welcher das Gerät aufgenommen wurde, verlassen wird. Firmwareupdate per Snapshot irmwareupdates werden auf dem IGEL-Downloadserver als Snapshot zur Verfügung gestellt Laden Sie sich die gepackte.snp-datei herunter. Stellen Sie diese den Thin Clients zur Verfügung: Entweder auf dem eigenen FTP- oder HTTP-Server im Netzwerk oder lokal auf einem USB-Speichergerät. Führen Sie mit diesem Snapshot die Funktion Snapshot herunterladen des Thin Clients aus. Die alternative Verwendung des Universal Firmware-Updatemechanismus der Universal Management Suite ist im UMS-Handbuch näher beschrieben. Snapshot herunterladen Auch die Installation eines bestehenden Snapshots kann per HTTP(S), FTP oder direkt über ein angeschlossenes Speichergerät erfolgen. Im letzteren Fall wird der Snapshot im Pfad \igel\snapshots gesucht. Geben Sie hier nur den Dateinamen ohne Pfad an. Warnung: Unterbrechen Sie den Download und die Anwendung des Snapshots nicht. Ein inkonsistenter Systemzustand kann die Folge sein. Durch die Option Zurücksetzen der Terminaleinstellungen werden die im Setup vorgenommene Konfiguration und die UMS-Registrierung mit dem clientseitigen Zertifikat gelöscht. Alle Parameter werden auf ihre jeweilige Voreinstellung gesetzt. Ebenfalls gelöscht werden die Daten der Partition des Users (Volume F:). Die Firmwarelizenzen bleiben jedoch erhalten Partielles Update Der IGEL-Mechanismus für partielle Updates ermöglicht es, Änderungen an IGEL-Thin Clients mit Windows Embedded Standard vorzunehmen, ohne das komplette System per Snapshot zu übertragen. Die Änderungen werden mithilfe von Skripts vorgenommen, die auf die Clients heruntergeladen und dann durch eine Skripting Engine auf Basis der Skriptsprache Lua ausgeführt werden. Dieser Mechanismus verteilt Skripts von einem Server auf Clients. Die Skriptsprache wurde von IGEL mit Modulen ergänzt. Damit können Sie auf Systemdienste zugreifen wie: Windows-Registry Dateisystemoperationen IGEL-Setupdatenschnittstelle Ausführung eines Prozesses Neustart Herunterfahren des Betriebssystems HTTP- und FTP-Zugang Die Erweiterungen mit dem Namen Luna und die vollständige Referenz finden Sie in der Luna-Referenz. Für das Installieren von partiellen Updates kann der Tomcat Webserver der IGEL Universal Management Suite verwendet werden. Damit lassen sich Updates per Profil auch an mehrere Clients verteilen. Näheres dazu ist im IGEL-UMS-Handbuch beschrieben. 37

38 Partielle Updates einspielen So spielen Sie partielle Updates ins System ein: Rufen Sie über System Updates partielles Update die Updatekonfigurationen im Setup auf. Aktivieren Sie die Checkbox Partielles Update. Wählen Sie ein Übertragungsprotokoll. Geben Sie den Quellserver bzw. -pfad auf dem Laufwerk an. Klicken Sie Übernehmen, um die Einstellungen zu speichern. Drücken Sie Nach Updates suchen, um die Quelle nach Updates zu durchsuchen. Verfügbare Updates lassen sich dann direkt installieren. Das Gerät startet dazu neu. Auch nach Installation des Updates erfolgt ein Neustart Verfügbare Optionen Update beim Boot Installierte Pakete anzeigen Partielle Updates der Quelle werden beim nächsten Neustart des Clients automatisch installiert. Diese Option empfiehlt sich besonders bei der Konfiguration über die IGEL UMS. Bereits installierte Updatepakete sind im System registriert und werden hier aufgelistet. Wenn Microsoft IIS (Internet Information Services) als HTTP-Server verwendet wird, um Dateien für das partielle Update bereitzustellen, müssen Sie den Server so konfigurieren, dass er Downloadanfragen für alle Dateien unabhängig vom MIME-Typ akzeptiert. Wenn FTP für die Dateiübertragung verwendet wird, bestehen keine derartigen Einschränkungen Fernadministration Definieren Sie den Remote Management-Server (IGEL UMS-Server), an dem sich das Gerät registrieren soll. Sie können über die Checkbox Remote Management erlauben die Verwaltungsmöglichkeit über den UMS-Server abschalten: Setup System Registry Pfad: system.remotemanager.allow_remote_management. Sendet der IGEL UMS-Server neue Einstellungen an den Thin Client oder wird dieser vom UMS aus heruntergefahren, so kann der Benutzer eine entsprechende Information erhalten. Die Anzeigezeit der Meldung lässt sich über Benutzerinformation aktivieren konfigurieren. 38

39 12.4. Spiegeln Für Helpdesk-Zwecke können Sie den Client über die IGEL UMS oder über einen anderen VNC-Client (z. B. TightVNC) per Spiegelung beobachten. Die Optionen für die VNC-Funktionen sind: Benutzer um Erlaubnis fragen Eingaben vom entfernten Rechner aus zulassen Passwort verwenden Bildfenster skalieren (Linux) Sicheres Spiegeln In einigen Ländern ist das unangekündigte Beobachten durch eine Spiegelung gesetzlich verboten. Deaktivieren Sie diese Option nicht, wenn Sie sich in einem dieser Länder befinden! Wenn diese Option aktiviert ist, darf der Remote-Benutzer Tastaturund Mauseingaben vornehmen, als wäre er der lokale Benutzer. Aktivieren Sie diese Option, um ein Passwort einzurichten, das der Remote-Benutzer eingeben muss, bevor er mit dem Spiegeln beginnen kann. Der Bildschirminhalt des gespiegelten Thin Clients wird um einen Faktor verkleinert oder vergrößert übertragen. Die Kommunikation wird per SSL/TLS gesichert und das Spiegeln ist nur als UMS-Administrator möglich. Weitere Parameter des VNC-Servers auf dem Thin Client sind in der IGEL Registry zugänglich (Setup > System > Registry > network.vncserver) Sicheres Spiegeln (VNC mit SSL/TLS) Die Funktion Sicheres Spiegeln erhöht die Sicherheit bei der Fernwartung eines Thin Clients über VNC an mehreren Stellen: Verschlüsselung: Die Verbindung zwischen dem spiegelnden Rechner und dem gespiegelten Thin Client wird verschlüsselt. Dies ist unabhängig vom verwendeten VNC-Viewer. Integrität: Nur Thin Clients in der UMS-Datenbank können gespiegelt werden. Autorisierung: Nur autorisierte Personen (UMS-Administratoren mit ausreichender Berechtigung) können Thin Clients spiegeln. Ein direktes Spiegeln ohne Anmeldung an der UMS ist nicht möglich. Limitierung: Nur das in der UMS konfigurierte VNC-Viewer-Programm (interner oder externer VNC-Viewer) kann zum Spiegeln verwendet werden. Das direkte Spiegeln eines Thin Clients durch einen anderen Thin Client wird ebenfalls unterbunden. Protokollierung: Verbindungen, die über das sichere Spiegeln aufgebaut werden, werden am UMS-Server im Log erfasst. Zusätzlich zu den Verbindungsdaten lassen sich auch die zugehörigen Benutzerdaten (spiegelnder UMS-Administrator, optional) im Log erfassen. 39

40 Dies alles betrifft natürlich nur Thin Clients, welche die Voraussetzungen für sicheres Spiegeln erfüllen und die entsprechende Option auch aktiviert haben. Andere Thin Clients lassen sich wie gehabt "frei" spiegeln, ggf. abgesichert durch die Abfrage eines Passworts. Möchten Sie ausschließlich sicheres Spiegeln erlauben, können Sie das in Zusätzliche Einstellungen im Administrationsbereich festlegen. Grundlagen und Voraussetzungen Die Option Sicheres Spiegeln ist unter folgenden Voraussetzungen aktivierbar: IGEL Universal Desktop Linux oder IGEL Universal Desktop OS 2 jeweils ab Version bzw. IGEL Universal Desktop Windows Embedded Standard 7 ab Version IGEL Universal Management Suite ab Version Thin Client ist am UMS-Server registriert Thin Client kann mit UMS-Konsole und UMS-Server kommunizieren (s.u.) Technische Grundlagen: Im Gegensatz zum "normalen" Spiegeln wird beim sicheren Spiegeln die Verbindung zwischen VNC-Viewer und VNC-Server (auf dem Thin Client) nicht direkt aufgebaut, sondern läuft über zwei Proxies - einen seitens der UMS-Konsole und einen seitens des VNC-Servers auf dem Thin Client. Diese Proxies kommunizieren über einen SSL/TLS-verschlüsselten Kanal, während die lokale Kommunikation z.b. zwischen VNC-Viewer-Anwendung und UMS-Proxy herkömmlich unverschlüsselt erfolgt. Somit kann eine gesicherte Verbindung auch mit externen VNC-Programmen aufgebaut werden, die selbst keine SSL/TLS-Verbindung unterstützen. Die beiden Proxies (UMS-Konsole und Thin Client) kommunizieren SSL/TLS-verschlüsselt über den gleichen Port wie die "normale" VNC-Verbindung: Somit müssen für das sichere Spiegeln keine gesonderten Regeln für Firewalls konfiguriert werden. Ist das sichere Spiegeln für einen Thin Client aktiv (Setup System Spiegeln Sicheres Spiegeln), generiert der Thin Client beim nächsten Systemstart ein Zertifikat nach X.509-Standard und übermittelt dieses an den UMS-Server. Dieser überprüft spätere Anfragen nach einer sicheren VNC-Verbindung anhand des Zertifikats. Das Zertifikat liegt im PEM-Format vor im Verzeichnis /wfs/ca-certs/tc_ca.crt auf dem Thin Client. Die Gültigkeit des Zertifikats lässt sich am (Linux) Thin Client prüfen mit dem Kommando: x11vnc -sslcertinfo /wfs/ca-certs/tc_ca.crt Abbildung 21: Thin Client Zertifikat für sicheres Spiegeln 40

41 Ruft ein UMS-Administrator in der UMS-Konsole für den Thin Client die Funktion Spiegeln auf, so erhält die Konsole vom UMS-Server eine signierte Anfrage, welche dann an den zu spiegelnden Thin Client weitergeleitet wird. Dieser wiederum leitet die Anfrage erneut an den UMS-Server weiter, der Anhand des ursprünglichen Zertifikats die Gültigkeit der Anfrage prüft und im Erfolgsfall der Konsole zurückmeldet, dass der Kanal für die Verbindung zwischen den Proxies aufgebaut werden kann. Der UMS-Proxy auf der Konsole verbindet sich zum Server-Proxy auf dem Thin Client, dieser wiederum baut auf dem Thin Client die Verbindung zu dessen VNC-Server auf. Erst wenn diese Verbindungen aufgebaut sind, ruft die Konsole den VNC-Viewer auf, der sich mit dem Proxy der Konsole verbindet. Nun sind VNC-Client und VNC-Server über die beiden Proxies verbunden, die über SSL/TLS verschlüsselt übertragen. Das sichere Spiegeln kann unabhängig von der Thin Client Konfiguration für alle Thin Clients erzwungen werden, die diese Funktion unterstützen: UMS Administration > Zusätzliche Einstellungen > Sicheres VNC global aktivieren. Thin Clients sicher spiegeln Um einen Thin Client sicher (verschlüsselt) zu spiegeln, muss der Administrator sich über die UMS-Konsole am Server anmelden. Dabei ist es egal, ob ein rein lokales UMS-Administratorkonto verwendet wird oder der Benutzer z.b. über ein Active Directory übernommen wurde. Der UMS-Administrator muss aber wie üblich über das Recht zum Spiegeln des Objekt besitzen: Abbildung 22: Administratorrecht Spiegeln Der zu spiegelnde Thin Client wird im Navigationsbaum aufgerufen und wie üblich kann über das Kontextmenü der Punkt Spiegeln ausgeführt werden. Das Verbindungsfenster unterscheidet sich jedoch vom Dialog des normalen VNC-Spiegelns. Weder lassen sich IP und Port des zu spiegelnden Thin Clients 41

42 ändern, noch wird ein Passwort für die Verbindung abgefragt - dies ist durch die zuvor erfolgte Konsolenanmeldung überflüssig. Abbildung 23: Verbindungsdialog Sicheres Spiegeln Bei bestehender VNC-Verbindung erkennt man das sichere Spiegeln am Symbol des Verbindungsreiters: Abbildung 24: Sichere VNC-Verbindung VNC-Logging Verbindungen über das sichere Spiegeln werden grundsätzlich in der UMS protokolliert. Dabei lässt sich in UMS-Administration Zusätzliche Einstellungen Sichere VNC-Verbindung konfigurieren, ob der Benutzername des Spiegelnden in das Log aufgenommen werden soll (Vorgabe ist inaktiv): Abbildung 25: Optionen für VNC-Logging 42

43 Das VNC-Log lässt sich über das Kontextmenü eines Thin Clients oder eines Ordners (für mehrere Thin Clients) aufrufen (Logging VNC-Log). Protokolliert werden Name, MAC-Adresse und IP-Adresse des gespiegelten Thin Clients, Zeitpunkt und Dauer des Vorgangs und ggf. der Benutzername des spiegelnden UMS-Administrators: Abbildung 26: Logeinträge der sicheren VNC-Verbindungen Klicken Sie zum Sortieren der Liste (z.b. nach Benutzername) auf die entsprechende Spaltenüberschrift oder filtern Sie die angezeigten Inhalte durch Eingaben im Feld Filter Dateibasierender Schreibfilter Der File Based Write Filter (FBWF) ist der systemeigene Schreibfilter des Windows Embedded Standard. Eine detaillierte Beschreibung der FBWF-Funktionalität finden Sie unter Der Schreibfilter schützt das System vor ungewollten Änderungen oder Löschungen und vor Schadsoftware. Sie sollten nach der Einrichtung des Systems den Filter (wieder) aktivieren, z.b. nachdem Sie eigene Anwendungen installiert oder Anpassungen am Windows-System außerhalb des IGEL-Setups vorgenommen haben. Änderungen im IGEL-Setup oder über die Verwaltung der IGEL UMS werden nicht durch den Schreibfilter blockiert. Der FBWF-Status wird in der Taskleiste angezeigt: Rotes Symbol: Grünes Symbol: FBWF deaktiviert FBWF aktiviert (Standardeinstellung) Im IGEL-Setup können Sie den Schreibfilter aktivieren bzw. abschalten, den Filterspeicher definieren (Angabe in MB, max MB, Standardeinstellung sind 64 MB), Verzeichnisse vom Schreibfilter ausschließen (z. B. für Signaturen eines Virenscanners). Diese Verzeichnisse können dann direkt beschrieben werden, auch wenn der Filter aktiv ist. 43

44 Warnung: Ändern oder löschen Sie nicht die initial vorhandenen Einträge (s.u.) aus der Liste. Sonst läuft das System nicht mehr stabil. Abbildung 27: File Based Write Filter - FBWF Wenn kein FBWF-Speicher mehr verfügbar ist, zeigt die Systemanzeige die Fehlermeldung There is not enough disk space on the disk (nicht genügend Speicherplatz verfügbar) an. Nach dieser Fehlermeldung läuft das System möglicherweise nicht mehr stabil, Datenverluste können auftreten. Führen Sie einen Neustart durch, um das Gerät wiederherzustellen. Für den regulären Betrieb des Systems muss der FBWF aktiviert sein! Deaktivieren Sie den Schreibfilter nur kurzfristig z. B. für administrative Aufgaben. Der Dauerbetrieb mit deaktiviertem Schreibfilter wird von IGEL nicht unterstützt. Verzeichnisausnahmen müssen so eng wie möglich definiert sein, um einen größtmöglichen Teil des Systems trotz der Ausnahmen geschützt zu halten Energieoptionen Die in Windows üblichen Optionen zur Energieeinsparung wurden auch in das IGEL-Setup übernommen. Abbildung 28: Energieoptionen Am IGEL-Thin Client können Sie folgende Parameter einstellen: 44

45 Monitor ausschalten Standby Passwortabfrage beim Beenden des Stand-by-Modus Drücken des Netzschalters Hier konfigurieren Sie das Systemverhalten, um z. B. direkt den Stand-by-Modus zu aktivieren Firmwareanpassungen Mithilfe der Liste der verfügbaren Features können Sie Firmwarefunktionen (wie z.b. Sitzungstypen) einfach aktivieren oder deaktivieren. Wenn eine Funktion deaktiviert wurde, steht der zugehörige Sitzungstyp nach dem Neustart nicht mehr zur Verfügung. Bereits bestehende Sitzungen dieses Typs werden nicht mehr angezeigt, jedoch auch nicht gelöscht. Abbildung 29: Liste der verfügbaren Funktionen Deaktivieren Sie die Funktion ThinPrint in dieser Liste, falls Sie ThinPrint innerhalb einer VMware Horizon Sitzung verwenden wollen. Der VMware Horizon Client bringt eine eigene ThinPrint-Komponente mit, die durch den parallel laufenden ThinPrint Dienst gestört werden kann. Eigene Anwendungen lassen sich ebenfalls anlegen und konfigurieren, geben Sie zu einer eigenen Anwendung die Startoptionen sowie die zu startende Applikation und ggf. zu übergebende Parameter an. 45

46 12.8. Registry Die IGEL-Registry ist eine strukturierte Sammlung aller konfigurierbarer Parameter, von denen einige nicht auf Setupseiten zu finden sind. Sie können viele Parameter der Firmware in der Registry ändern. Informationen zu den einzelnen Elementen finden Sie in den Tooltips. Änderungen an der Thin Client-Konfiguration über die Registry sollten nur von erfahrenen Administratoren vorgenommen werden. Falsche Parametereinstellungen können leicht die Konfiguration zerstören und zu einem Systemabsturz führen. Die einzige Möglichkeit zur Wiederherstellung des Thin Clients ist in einem solchen Fall das Zurücksetzen auf die ursprünglichen Werkseinstellungen per Snapshot. Klicken Sie auf Parametersuche..., um in der IGEL-Registry nach bestimmten Parametern zu suchen. Suchen Sie nach dem Parameternamen wpa, wenn Sie WPA-Verschlüsselungseinstellungen für die Sicherung Ihres WLAN benötigen. Der in der Struktur gefundene Parameter wird hervorgehoben: Abbildung 30: Parametersuche 46